ランサムウェアに感染した組織29件の回答を集計した結果です。

直近2年のほうが金額が大きく、平均で21%、中央値で17%上がっています。レポートも「ランサムウェア感染被害による損害額は増加傾向にあるといえます」と書いています。

平均と中央値に差があるのは、数億円規模の大きな事例が平均を押し上げているためです。実際の感覚に近いのは中央値のほう──つまりふつうに起きたら3,800万円ぐらいかかると読むのが妥当です。

では、どうやってデータを取り戻したのか。ここも数字が出ています。

73%が復旧に成功し、その方法はほぼすべてバックアップからの復元でした。暗号化されたデータを解いて戻せたのは、29件中わずか1件です。

そして復旧率は、前回調査（2017年1月〜2022年6月が対象）の50%から73%へ大きく改善しています。レポートはこれを「バックアップそのものの普及のほか、オフラインでの保存やバックアップデータからの復旧体制の整備など、ランサムウェア対策を意識した備えが実施されている」と評価しています。

ただし──それでも6,019万円かかる、というのがこの記事の本題です。バックアップから戻せても、費用はゼロにはなりません。次の章で、その中身を開けます。

このレポートの白眉が、被害組織へのインタビューです。実際にいくら、何に使ったかが費目ごとに載っています。まず全13件の総額を並べます。

そして費目の中身です。ここに驚きがありました。

最大の費目は「お詫びの品」で4,500万円。システムを直す費用（4,000万円）より高いのです。この事例では復旧に2か月、業務の正常化までに約7か月かかっています。

同じ構図は、もっと小さな事例でも起きています。

この会社のコメントが、判断の難しさをよく表しています。

法的には配る義務がなくても、信用を守るために配る。その判断が1,200万円になる──これが公表された実例から見える現実です。

この事例が興味深いのは、システム復旧費が400万円と非常に安いことです。理由はコメントに書かれています。

訓練していたので自社で戻せた。だから復旧の外注費が要らなかった。備えが直接、金額を下げています。それでも総額2億5,000万円を超えたのは、大半が「社員が1か月間、半分しか働けなかった」ことによる損失だからです。

アンケートでは、事故対応に費やした社内の労力も聞いています。単位は「人月」──1人が1か月フルタイムで働いた量を1とする数え方です。

ランサムウェア被害組織の回答の平均は19.7人月。約20人が1か月まるごと、この対応だけをしていた計算になります。

NO.7の95.4人月＝14,309時間は、IT部門だけの数字です。1人が1年働く時間を約2,000時間とすれば、7人分の年間労働時間に相当します。

そして重要なのは、レポートが繰り返し指摘している点です。多くの組織が、この人月をコストとして計上していません。すでに払っている給料の中で対応しているため、追加の支出に見えないからです。

取引先が攻撃されただけで、自社に1.3人月の対応が発生する。しかもこの企業は「ここ数年、年1、2度、委託先でこのようなセキュリティ事故が発生している」と答えています。

ウェブサイトからの情報漏えい被害27件についても、金額が集計されています。漏れた情報の種類で、金額が1.5倍違いました。

そしてもうひとつ、金額に表れにくい深刻な数字があります。

カード決済が平均131.8日──約4か月半止まります。60%以上の組織は半年以上。ECサイトを運営していれば、これは売上が直接消えることを意味します。レポートも「クレジットカード決済の停止は売り上げの減少に直結する」と書いています。

さらに、自分で気づけないという問題もあります。発覚の多くは決済代行会社やカード会社からの指摘。つまり外から言われるまで、漏れていることが分からないのが実態です。

インタビューでは、侵入経路についても語られています。実例を並べると、入口はほぼ一箇所に集中していました。

侵入経路はVPNとリモート接続にほぼ集中しています。しかもそのうち複数が、「更新しようと思っていたが、まだやっていなかった」という状態でした。

そして、この記事でいちばん心に残った一言を紹介します。バックアップの意味を、コストではない言葉で語ったものです。

ここまで見てきたことを、もう一度まとめます。

「セキュリティ対策にいくらかければいいのか」は、答えの出しにくい問いです。効果が見えないものにお金を出す判断は、いつでも後回しになります。

この調査が提供しているのは、反対側の金額です。対策をしなかった場合の請求書。中央値で3,800万円、大きい事例では2億5,000万円。そしてその請求書に「身代金」の行はありません。並んでいるのは、調査費、復旧費、お詫びの品、コールセンター、そして社員が数か月間それだけをやることになる時間です。